금취분평 살펴보기

금취분평

전자금융기반시설 보안 취약점 평가기준

금융보안원 보안평가부(보안평가기술팀)

정보보호관리체계 (FISM)

서버 (SRV)

데이터베이스 (DBM)

네트워크 인프라 (INF)

네트워크 장비 (NET)

정보보호시스템 장비 (ISS)

웹_모바일_HTS (WEB - MOB - HTS)

위와 같이 금취분평에는 여러 항목이 존재한다. 하지만 모의해킹을 진행하기 위해서 우선적으로 웹_모바일_HTS (WEB - MOB - HTS) 부분을 살펴보려 한다.

 

웹/모바일/HTS 애플리케이션 보안 취약점 평가 기준

이름과 같이 웹, 모바일, HTS에서 발생 가능한 취약점에 대한 평가 기준으로서 3가지 항목이 서로 겹치는 항목이 존재하고, 단독의 항목이 존재하기도 한다. 이에 따라 진행하는 모의해킹 웹/앱에 따라 해당하는 항목에 대한 취약점을 찾으면 된다는 것이다.

 

웹 (WEB)

웹은 주통기반과 같은 느낌으로 웹 서버의 취약점을 정리해둔 것으로, 주의할 사항은 금취분평으로 평가기준을 잡는 경우에는 주통기반과 이름을 헷갈리지 않고, 해당 금취분평의 항목명에 맞춰서 진행해야하고, 가능하면 항목 번호순으로 진행하는 것이 추후에 이행점검 시에도 보다 편할 수 있다는 것을 인지해야한다.

 

모바일 (MOB)

모바일은 그야말로 모바일 애플리케이션을 의미하는 것으로 앱 모의해킹을 진행함에 있어 평가기준으로 이용된다.

 

HTS

HTS는 금융권/증권사 와 같이 주식거래가 일어나는 웹에 대한 평가항목으로서 항목 이름 앞에 '전자 금융'이 붙는 경우가 이에 해당한다.전자 금융의 예시는 다음과 같다.

[전자금융]
> 돈 거래 서비스
> 은행 계좌이체
> 쇼핑몰. 결제

 

MTS

MTS는 MOB와 HTS를 합친것으로 (MOB + HTS) 주식 거래와 같은 전자 금융 항목이 모바일에서 발생하는 경우를 말한다.

 

자세한 항목에 대해서는 WEB / MOB / HTS 별로 구분해서 정리해보려 한다.

---

질문 환영, 수정 및 보완에 대한 지적 환영